Auslagerung und Geschäftsfortführung
Rechtsstand: 10. September 2026 | Lesezeit: rund 13 Minuten | Erstveröffentlichung: 11. November 2020, vollständig überarbeitet
Auslagerung Ausstiegsstrategien klingt nach einem Thema. Es sind zwei – und sie sind unterschiedlich streng. Für Non-IKT-Auslagerungen lässt AT 9 Tz. 6 der MaRisk Spielraum. Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, kennt Art. 28 Abs. 8 DORA keinen.
AT 9 Tz. 6 der MaRisk in der Fassung vom 30. Juni 2026 verlangt bei wesentlichen Auslagerungen Vorkehrungen, um Kontinuität und Qualität auch nach Beendigung der Auslagerungsvereinbarung zu gewährleisten. Für Fälle unbeabsichtigter oder unerwarteter Beendigung sind Handlungsoptionen zu prüfen und zu verabschieden. Ausstiegsstrategien sind festzulegen, soweit dies sinnvoll und möglich ist.
Das ist eine Formulierung mit Spielraum – und sie steht neben einer, die keinen hat. Art. 28 Abs. 8 DORA verlangt für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen Ausstiegsstrategien mit umfassenden, dokumentierten und ausreichend getesteten Plänen, die regelmäßig zu überprüfen sind.
Seit der Erläuterung zu AT 9 Tz. 1 laufen beide Regime getrennt. Das heißt praktisch: Ein Institut kann für dieselbe Dienstleisterlandschaft zwei unterschiedliche Exit-Standards vorhalten müssen – abhängig davon, ob eine IKT-Dienstleistung nach Art. 3 Nr. 21 DORA vorliegt.
Und eine Erleichterung, die man kennen sollte: Nach AT 9 Tz. 14 lit. d kann bei gruppen- und verbundinternen Auslagerungen auf Ausstiegsstrategien und Handlungsoptionen verzichtet werden. Auf der DORA-Seite gibt es diese Öffnung nicht.
Die Gegenüberstellung zeigt, warum ein einheitlicher Exit-Standard im Haus entweder zu viel oder zu wenig ist.
| Punkt | AT 9 Tz. 6 MaRisk | Art. 28 Abs. 8 DORA |
|---|---|---|
| Anwendungsbereich | Wesentliche Auslagerungen ohne IKT-Bezug im Sinne von Art. 3 Nr. 21 DORA | IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen |
| Grundpflicht | Vorkehrungen für Kontinuität und Qualität nach Beendigung | Einrichtung von Ausstiegsstrategien |
| Ausstiegsstrategie | Festzulegen, soweit sinnvoll und möglich | Verbindlich, ohne Öffnungsklausel |
| Test der Pläne | Im Normtext nicht ausdrücklich verlangt | Ausstiegspläne müssen ausreichend getestet sein |
| Überprüfung | Handlungsoptionen regelmäßig und anlassbezogen überprüfen | Ausstiegspläne regelmäßig überprüfen |
| Erleichterung im Verbund | Verzicht bei gruppen- und verbundinternen Auslagerungen möglich (AT 9 Tz. 14 lit. d) | Keine entsprechende Öffnung |
Die praktische Folge ist unbequem: Wer den strengeren DORA-Standard pauschal auf alle Auslagerungen anwendet, produziert Aufwand ohne Rechtsgrund. Wer den MaRisk-Spielraum pauschal nutzt, erfüllt DORA nicht. Die Zuordnung je Dienstleistungsverhältnis ist deshalb der erste Arbeitsschritt, nicht der letzte.
Der Normtext staffelt in drei Stufen. Die dritte wird in der Praxis am häufigsten übersehen.
Bei wesentlichen Auslagerungen sind Vorkehrungen zu treffen, um Kontinuität und Qualität der ausgelagerten Aktivitäten und Prozesse auch nach Beendigung der Auslagerungsvereinbarung zu gewährleisten. Das gilt unabhängig davon, wie die Beendigung zustande kommt.
Für Fälle unbeabsichtigter oder unerwarteter Beendigung, die mit einer erheblichen Beeinträchtigung der Geschäftstätigkeit verbunden sein können, sind etwaige Handlungsoptionen auf ihre Durchführbarkeit zu prüfen und zu verabschieden. Prüfen und verabschieden – zwei Schritte, nicht einer.
Dies beinhaltet auch, soweit sinnvoll und möglich, die Festlegung entsprechender Ausstiegsstrategien. Die Einschränkung ist echt – aber sie verlangt eine Begründung, wenn sie in Anspruch genommen wird.
Die Erläuterung ist an dieser Stelle klar: Existieren keine Handlungsoptionen, ist zumindest eine angemessene Berücksichtigung in der Notfallplanung erforderlich. Das Thema lässt sich also nicht abwählen, nur verlagern.
Die Handlungsoptionen sind regelmäßig und anlassbezogen zu überprüfen. Einen festen Turnus nennt der Text nicht; die Festlegung ist eine begründete Entscheidung des Instituts.
Für vollständig ausgelagerte besondere Funktionen verlangt AT 9 Tz. 5 zusätzlich sicherzustellen, dass bei Bedarf der ordnungsmäßige Betrieb in diesen Bereichen fortgesetzt werden kann.
Auslagerung der besonderen FunktionAT 9 Tz. 14 lit. d lässt für Gruppen im Sinne von AT 2.1 Tz. 3 und für Finanzverbünde zu, bei gruppen- und verbundinternen Auslagerungen auf die Erstellung von Ausstiegsstrategien und Handlungsoptionen zu verzichten. Das ist eine echte Entlastung – und zugleich eine Stelle, an der die Abgrenzung zu DORA zählt: Für IKT-Dienstleistungen im Anwendungsbereich von Art. 28 DORA gilt sie nicht.
Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, richten Finanzunternehmen Ausstiegsstrategien ein. Der Maßstab ist in drei Punkten formuliert: Der Ausstieg muss möglich sein ohne Unterbrechung der Geschäftstätigkeit, ohne Einschränkung der Einhaltung regulatorischer Anforderungen und ohne Beeinträchtigung der Kontinuität und Qualität der für Kunden erbrachten Dienstleistungen.
Lies die drei Punkte wörtlich, dann wird der Anspruch deutlich: Ein geplantes Ausfallfenster oder eine vorübergehend eingeschränkte Servicequalität während der Migration erfüllt diesen Maßstab nicht.
Wer die alte Fassung dieses Beitrags kennt, erkennt die Liste wieder: Sie entspricht weitgehend den Auslösern, die die EBA-Leitlinien zu Auslagerungen 2019 für kritische oder wesentliche Funktionen formuliert haben. Die Logik ist für IKT-Dienstleistungen in unmittelbar geltendes Unionsrecht gewandert – und dort verbindlicher geworden.
Finanzunternehmen ermitteln alternative Lösungen und entwickeln Übergangspläne, die es ihnen ermöglichen, dem IKT-Drittdienstleister die vertraglich vereinbarten Dienstleistungen und die relevanten Daten zu entziehen. Der Datenstandort und die daraus folgenden Herausforderungen gehören in diese Planung.
Ergänzend regelt Art. 28 Abs. 7 DORA die Kündigungsrechte. Beides gehört zusammen gelesen: Ein Ausstiegsplan ohne belastbares Kündigungsrecht bleibt Theorie.
Die sechs Bestandteile stammen aus zwei Quellen. Die ersten fünf hat die EBA in Abschnitt 15 ihrer Leitlinien zu Auslagerungen formuliert; sie sind über die Umsetzung in den MaRisk auch national relevant. Der sechste kommt aus DORA.
| Bestandteil | Was er leistet | Herkunft |
|---|---|---|
| Ziele der Ausstiegsstrategie | Was soll erreicht werden – Anbieterwechsel, Reintegration oder Einstellung der Leistung | EBA-Leitlinien zu Auslagerungen, Abschnitt 15 |
| Business-Impact-Analyse | Welche personellen und finanziellen Ressourcen die Umsetzung erfordert und wie lange sie dauert | EBA-Leitlinien; vergleichbar AT 7.3 Tz. 1 MaRisk |
| Rollen und Zuständigkeiten | Wer den Plan auslöst, wer ihn umsetzt, wer die Mittel freigibt | EBA-Leitlinien, Abschnitt 15 |
| Erfolgskriterien | Woran sich messen lässt, ob die Umstellung der Funktionen und Daten gelungen ist | EBA-Leitlinien, Abschnitt 15 |
| Auslöseindikatoren | Kennzahlen für eine inakzeptable Dienstleistungsgüte, deren Erreichen den Ausstiegsplan auslöst | EBA-Leitlinien; Anknüpfung an AT 9 Tz. 9 MaRisk |
| Test und Überprüfung | Erprobung der Pläne und regelmäßige Überprüfung | Art. 28 Abs. 8 DORA |
Der fünfte Punkt ist der wirksamste und wird am häufigsten vergessen: Ohne definierten Auslöser bleibt der beste Plan liegen, bis die Lage eskaliert ist. Die Indikatoren dafür kommen aus derselben Quelle wie die laufende Leistungsüberwachung.
AT 9 Tz. 9 verlangt bei wesentlichen Auslagerungen die laufende Überwachung anhand vorzuhaltender Kriterien; Key Performance Indicators und Key Risk Indicators sind ausdrücklich genannt. Genau daraus lässt sich die Auslöseschwelle ableiten.
KPI und KRI im VergleichDie Erläuterung zu AT 9 Tz. 7 verlangt, bereits bei der Vertragsanbahnung intern festzulegen, welchen Grad einer Schlechtleistung das Institut akzeptieren möchte. Das ist die Schwelle, ab der ein Ausstiegsplan überhaupt greifen kann.
Pflichten im AuslagerungsmanagementBei Auslagerungen von Aktivitäten und Prozessen, die kritische oder wichtige Funktionen unterstützen, müssen Institut und Auslagerungsunternehmen nach AT 7.3 Tz. 3 über abgestimmte Notfallkonzepte verfügen.
Einstufung kritisch oder wesentlichEin Ausstiegsplan ist nur so belastbar wie der Vertrag, auf dem er aufsetzt. Vier Punkte entscheiden.
AT 9 Tz. 7 lit. l verlangt bei wesentlichen Auslagerungen Kündigungsrechte und angemessene Kündigungsfristen als Teil der in Textform zu dokumentierenden Vereinbarung nach § 25b Abs. 3 Satz 3 KWG.
Zugangs-, Informations- und KündigungsrechteDie Erläuterung zu Tz. 7 empfiehlt Regelungen, die das Auslagerungsunternehmen verpflichten, das Institut nach Kündigung bei der Übertragung an ein anderes Unternehmen oder bei der Reintegration zu unterstützen.
Es ist sicherzustellen, dass auf die im Eigentum des Instituts befindlichen Daten im Fall einer Insolvenz, Abwicklung oder Einstellung der Geschäftstätigkeit des Auslagerungsunternehmens zugegriffen werden kann.
AT 9 Tz. 8 verlangt Zustimmungsvorbehalte oder konkrete Voraussetzungen für Weiterverlagerungen sowie eine Informationspflicht. Ein Exit, der die Subunternehmerkette nicht kennt, ist nicht durchführbar.
Weiterverlagerung kritischer FunktionenDie vollständige Liste der bei wesentlichen Auslagerungen zu vereinbarenden Punkte steht in AT 9 Tz. 7 lit. a bis n.
Mindestanforderungen an AuslagerungsvereinbarungenFür IKT-Dienstleistungen gelten die vertraglichen Anforderungen der Art. 28 bis 30 DORA. Art. 28 Abs. 7 regelt die Kündigungsrechte eigenständig.
DORA und IKT-DrittanbieterDiese Befunde entstehen meist dort, wo der Exit als Vertragsanhang behandelt wird statt als Prozess.
Entweder wird der DORA-Maßstab pauschal angewendet – Aufwand ohne Rechtsgrund – oder der MaRisk-Spielraum pauschal genutzt, was DORA nicht erfüllt.
Abgrenzung Auslagerung und FremdbezugDer Plan existiert, aber niemand weiß, ab welchem Wert er greift. Die Auslöseschwelle lässt sich aus den Kennzahlen nach AT 9 Tz. 9 ableiten.
Die Einschränkung soweit sinnvoll und möglich in AT 9 Tz. 6 ist echt, aber begründungspflichtig. Ein stillschweigender Verzicht ist keine Inanspruchnahme.
Existieren keine Handlungsoptionen, verlangt die Erläuterung zumindest eine angemessene Berücksichtigung in der Notfallplanung. In der Praxis fehlt der Übergabepunkt zwischen beiden Prozessen.
Art. 28 Abs. 8 DORA verlangt ausreichend getestete Ausstiegspläne. Ein Dokument ohne Test ist im Anwendungsbereich der Verordnung nicht ausreichend.
Typische PrüfungsfeststellungenOhne gesicherten Zugriff auf die eigenen Daten im Insolvenzfall und ohne geklärtes Format ist die Übertragung an einen anderen Anbieter nicht durchführbar – unabhängig davon, was im Plan steht.
Sechs Fragen entlang des Exit-Prozesses. Wähle je Zeile den zutreffenden Zustand; die Empfehlung erscheint darunter. Die Auswahl wird nicht gespeichert und nicht übertragen.
Ist je Dienstleistungsverhältnis geklärt, ob AT 9 oder Art. 28 DORA gilt?
Erläuterung zu AT 9 Tz. 1 MaRisk, Art. 3 Nr. 21 DORA
ErfülltDie Zuordnung liegt vor und steuert den Exit-Standard. Prüfe sie bei jeder Vertragsänderung.
TeilweiseNeuverträge sind zugeordnet, der Bestand nicht. Priorisiere nach Kritikalität, nicht nach Vertragsdatum.
OffenOhne Zuordnung wird entweder überreguliert oder eine Pflicht verfehlt. Das ist der erste Schritt.
Sind Handlungsoptionen geprüft und verabschiedet?
AT 9 Tz. 6 MaRisk
ErfülltDie Optionen sind auf Durchführbarkeit geprüft und beschlossen. Terminiere die Wiedervorlage.
TeilweiseOptionen sind beschrieben, aber nicht auf Durchführbarkeit geprüft. Genau diesen Schritt verlangt die Norm.
OffenExistieren keine Handlungsoptionen, gehört das Thema in die Notfallplanung. Stelle den Übergabepunkt her.
Ist ein Verzicht auf Ausstiegsstrategien begründet dokumentiert?
AT 9 Tz. 6, AT 9 Tz. 14 lit. d MaRisk
ErfülltDer Verzicht ist begründet oder stützt sich auf die Verbunderleichterung. Prüfe die Reichweite gegen den IKT-Bestand.
TeilweiseDer Verzicht wird praktiziert, die Begründung fehlt. Hole sie nach, sie ist der Unterschied zwischen Ermessen und Versäumnis.
OffenEin stillschweigender Verzicht trägt nicht. Beginne bei den wesentlichen Auslagerungen.
Gibt es definierte Auslöseindikatoren für den Ausstiegsplan?
AT 9 Tz. 9 MaRisk, Erläuterung zu AT 9 Tz. 7
ErfülltSchwellenwerte sind definiert und mit dem Eskalationspfad verbunden.
TeilweiseKennzahlen werden erhoben, eine Auslöseschwelle ist nicht definiert. Lege sie fest – ohne sie greift der Plan nie.
OffenOhne Indikatoren bleibt der Ausstieg eine Ermessensentscheidung im Krisenmoment. Das ist der schlechteste Zeitpunkt dafür.
Sind die Ausstiegspläne für IKT-Dienstleistungen getestet?
Art. 28 Abs. 8 DORA
ErfülltDie Pläne sind erprobt und die Ergebnisse dokumentiert. Nimm den Test in den Jahresplan auf.
TeilweiseEin Test hat stattgefunden, ist aber nicht dokumentiert. Der Nachweis gehört zum Plan.
OffenDer Normtext verlangt ausreichend getestete Pläne. Ein ungetestetes Dokument erfüllt das nicht.
Ist der Datenzugriff im Insolvenzfall vertraglich gesichert?
Erläuterung zu AT 9 Tz. 7 MaRisk
ErfülltZugriff, Format und Übergabeweg sind geregelt. Prüfe die Regelung an einem realen Datensatz.
TeilweiseDer Zugriff ist zugesagt, Format und Weg sind offen. Beides entscheidet über die Durchführbarkeit.
OffenOhne gesicherten Zugriff ist jeder Übergangsplan hinfällig. Das ist eine Vertragsfrage, keine Prozessfrage.
Sechs Schritte, die unabhängig vom Dienstleisterportfolio tragen.
In welchem Turnus die Aufsicht Tests der Ausstiegspläne erwartet, lässt sich aus Art. 28 Abs. 8 DORA nicht ableiten – der Text spricht von ausreichend getestet und regelmäßig überprüft, ohne Frequenz. Konkretisierungen können sich aus den technischen Regulierungsstandards zu DORA ergeben; für diesen Beitrag wurden sie nicht ausgewertet. Wer eine Frequenz festlegt, sollte sie risikoorientiert begründen.
Auslagerung Ausstiegsstrategien sind 2026 kein einheitliches Thema mehr, sondern zwei Anforderungen mit unterschiedlicher Härte.
Wer den Bestand nach Regime sortiert hat, kann für jeden Vertrag sagen, welcher Standard gilt – und den Aufwand dort investieren, wo er gefordert ist.
Nicht in jedem Fall. AT 9 Tz. 6 verlangt bei wesentlichen Auslagerungen Vorkehrungen für Kontinuität und Qualität nach Beendigung. Für Fälle unbeabsichtigter oder unerwarteter Beendigung sind Handlungsoptionen auf ihre Durchführbarkeit zu prüfen und zu verabschieden. Ausstiegsstrategien sind festzulegen, soweit dies sinnvoll und möglich ist.
Die Erläuterung zu AT 9 Tz. 6 ist an dieser Stelle eindeutig: Existieren keine Handlungsoptionen, ist zumindest eine angemessene Berücksichtigung in der Notfallplanung erforderlich. Das Thema verschwindet also nicht, sondern wandert in das Notfallmanagement nach AT 7.3.
Deutlich strenger. Art. 28 Abs. 8 DORA verlangt für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, Ausstiegsstrategien. Die Ausstiegspläne müssen umfassend, dokumentiert und ausreichend getestet sein sowie regelmäßig überprüft werden. Eine Öffnungsklausel wie soweit sinnvoll und möglich kennt der Text nicht.
Nach Art. 28 Abs. 8 DORA sind insbesondere ein möglicher Fehler des IKT-Drittdienstleisters, eine Verschlechterung der Qualität der bereitgestellten Dienstleistungen, jede Unterbrechung der Geschäftstätigkeit aufgrund unangemessener oder unterlassener Bereitstellung sowie jedes erhebliche Risiko für die kontinuierliche Bereitstellung zu berücksichtigen.
Ja, aber nur auf der MaRisk-Seite. Nach AT 9 Tz. 14 lit. d kann bei gruppen- und verbundinternen Auslagerungen auf die Erstellung von Ausstiegsstrategien und Handlungsoptionen verzichtet werden. Für IKT-Dienstleistungen im Anwendungsbereich von Art. 28 DORA gilt diese Erleichterung nicht.
AT 9 Tz. 7 lit. l verlangt Kündigungsrechte und angemessene Kündigungsfristen. Die Erläuterung ergänzt, dass die Vereinbarung das Auslagerungsunternehmen verpflichten sollte, das Institut nach Kündigung bei der Übertragung an ein anderes Unternehmen oder bei der Reintegration zu unterstützen. Zudem ist der Datenzugriff bei Insolvenz, Abwicklung oder Einstellung der Geschäftstätigkeit sicherzustellen.
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Beitrag einsteht.
Auslagerung Ausstiegsstrategien hängen an Einstufung, Vertrag und Steuerung. Hier die angrenzenden Themen.
Hinweis zur Unabhängigkeit: Dieser Beitrag beschreibt Anforderungen und Planungsschritte neutral. Aussagen zu Produkten einzelner Anbieter werden bewusst nicht getroffen.
Exit-Standard je Vertrag festlegen, ohne den Bestand zweimal zu prüfen? Erst der Quick-Check.
Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.